偽CAPTCHAでPowerShell実行を誘導、Microsoftがリバーストンネルを仕込む新攻撃「TerminalFix」を報告

要点

• Microsoftの研究者が、Webサイトの偽認証からマルウェアを感染させる新攻撃「TerminalFix」の詳細を公開した。

• 従来のClickFix攻撃と異なり、「Windows Terminal」や「PowerShell」を直接起動させ、複数行の複雑なコマンドを実行させる。

• DLLサイドローディングや画像偽装（ステガノグラフィ）を経て、Python製のリバーストンネルバックドアを設置する。

• 攻撃者は侵入先をプロキシとして利用し、組織の内部ネットワーク全体へアクセスを拡大する恐れがある。

• 対策として、PowerShell実行の制限、スクリプトブロックログの有効化、DLLサイドローディングの監視などが推奨されている。

• 米Microsoftのセキュリティ研究チームは、偽のCloudflare CAPTCHA（人間確認画面）を悪用して利用者を騙し、悪意あるコマンドを実行させる新種の手法「TerminalFix」に関する分析結果を明らかにした。この攻撃は、利用者にターミナル上でスクリプトを実行させることで多段階の感染プロセスを開始し、最終的に組織内ネットワークへ侵入するためのリバーストンネル型バックドアを設置するという。複数の業界にわたる組織が標的になっていると報告されている。

ターミナルを直接標的にする新たな「ClickFix」の手法

Microsoftのセキュリティ研究者であるSagar Patil氏、Suriyaraj Natarajan氏、Parasharan Raghavan氏の分析によると、TerminalFixは「ClickFix」と呼ばれるソーシャルエンジニアリング手法の新たな変種に位置づけられる。ClickFixは、Webサイト上にエラー画面や認証画面を偽装表示し、利用者にコマンドをコピーさせてOS上で実行させる手口を指す。

従来のClickFixキャンペーンでは、Windowsの「ファイル名を指定して実行」ダイアログ（Win+R）を利用者に開かせるケースが主流だった。しかし今回のTerminalFixでは、「Windows Terminal」や「PowerShell」を直接開いてコマンドを貼り付けるよう誘導する点が異なるという。研究チームは、この変更によって複数行にわたる複雑なスクリプトであっても途中で途切れず、確実に実行される確率が高まるためだと説明している。

DLLサイドローディングと画像偽装を用いた多段階の感染プロセス

攻撃の起点となるのは、改ざんされた正規のWebサイトである。利用者がこれらのサイトを訪れると、Cloudflareの認証を装った偽の画面が表示され、PowerShellコマンドのコピーと実行を促される。

ユーザーが指示に従ってPowerShellでコマンドを実行すると、まず正規の実行ファイル「LockScreenContentServer.exe」と悪意あるDLLファイル「dui70.dll」を含むZIPアーカイブがダウンロードされる。ここで、正規プログラムが不正なDLLを読み込んでしまう「DLLサイドローディング」という手法が悪用され、多段階の攻撃プロセスが開始される。

読み込まれた不正DLLは、外部ドメイン（「bestsocialmedianewspapper[.]com」または「offlineupdater[.]com」）からPNG画像を取得する。この画像ファイルには、データの中に別のコードを隠す「ステガノグラフィ」技術によって次の段階で用いるペイロードが埋め込まれている。さらに、マルウェアはシステムの再起動後も動作を継続させるため、レジストリのRunキーとタスクスケジューラの両方に永続化設定を追加する。

Python製リバーストンネルと内部ネットワークの探索

その後、感染端末にはPythonベースのC2（指令サーバー）通信用インプラント「client.py」が配備される。このバックドアは、暗号化されたWebSocket通信を用いて攻撃者のインフラ（「gitnow[.]dev:443」）へのリバーストンネル（内側から外部へ接続を確立して外部からのアクセスを中継する通信路）を構築する。これにより、攻撃者は感染端末をプロキシとして利用し、被害者のネットワークから見える任意のホストへC2サーバー側からアクセスできるようになる。

同時に、システム内部を調べる偵察活動も実行される。具体的には以下の処理が行われるという。

• システムのメタデータ情報の収集
• Active Directory環境におけるユーザーやコンピューターの検索、ドメイン管理者の列挙、ドメイン信頼関係の探索
• 名前付きサーバーへのPing送信による内部ネットワークトポロジの把握

また、この攻撃では永続的なPowerShellのファイル監視ループも配備される。これは特定のテキストファイルを常時監視し、新たなコマンドが書き込まれるとInvoke-Expressionによって自動で実行し、結果を別の出力ファイルへ書き出す仕組みになっている。

潜在的な脅威とMicrosoftが提示する緩和策

Microsoftは、リバーストンネルによって攻撃者が組織の内部ネットワークへ直接アクセスできるようになる点が極めて危険であると警告している。侵入した端末を足がかりに内部の偵察が行われ、ネットワーク内の他のシステムへと攻撃が広がる恐れがあるという。さらに、取得されたアクセス権は権限昇格、セキュリティ機能の無効化、機密データの窃取、さらにはランサムウェアの展開に悪用される可能性があるとしている。

同社は、こうしたTerminalFixの脅威を低減するための対策として、以下の対応を挙げている。

• AppLocker、Application Control for Windows、またはグループポリシーを活用し、一般ユーザーによるPowerShellや「ファイル名を指定して実行」ダイアログの利用を制限する。
• 業務上必要ない場合は、Windowsの「ファイル名を指定して実行」（Win+R）の機能をブロックまたは監査対象とする。
• DLLサイドローディングの兆候を監視する。
• 従業員に対してClickFix攻撃の手口を周知し、不審な指示に従わないよう教育を行う。
• 難読化やエンコードが施されたコマンドを検知・分析できるように、PowerShellのスクリプトブロックログ機能を有効化する。